Retour aux cas pratiques
Débutant45 min - 1 h

Corrélation d'IOC multi-sources

Le SIEM remonte 2 300 alertes « IOC » en une nuit. Séparez le bruit du signal : faux positifs d'un flux de renseignement, balise DNS, exécution PowerShell et correspondance MISP.

Briefing

Vous rejoignez le SOC de Carvelle Énergie. Un nouveau flux de renseignement a été branché hier sur le SIEM ; ce matin, 2 300 alertes attendent. Votre responsable vous demande d'identifier ce qui est réellement malveillant et le périmètre de l'éventuelle compromission.

Scénario et données fictifs, construits à partir de techniques réelles. Domaines en .example et IP de documentation.

Objectifs

  • Repérer un IOC de mauvaise qualité dans un flux
  • Identifier un comportement de beaconing DNS
  • Relier des événements de sources différentes
  • Enrichir avec MISP
  • Déterminer le périmètre de l'incident

Outils utilisés en conditions réelles

SIEM (Splunk, Elastic, Sentinel)MISPVirusTotalLogs DNSEDR
CyberXTEL
100% Gratuit

Envie de passer à la pratique ?

CyberXTEL est notre plateforme gratuite pour vous entraîner : certifications, CTF et un espace dédié à la cyber awareness.

Découvrir CyberXTEL